Preguntas
“Sobre la base del artículo 14 de la Resolución N°SPDP-SPD-2025-0028-R, que señala, “el delegado se limitara a supervisar al responsable, al personal del responsable o al encargado del tratamiento para que ejecuten de manera correcta, el procedimiento de atención de las solicitudes para el ejercicio de derechos que fueren presentados por los titulares respecto de sus datos personales, de conformidad con lo establecido en la normativa vigente” ¿El Delegado de Protección de Datos Personales, puede ser custodio de las contraseñas de las bases de Datos de la Institución?”
Análisis
De conformidad con lo dispuesto en el numeral 9 del primer inciso del artículo 10 de la Resolución N° SPDP-SPDP-2024-0001-R que aprobó el Estatuto de Arranque de la SPDP y, en ejercicio de la competencia administrativa delegada a la Intendencia General de Regulación de Protección de Datos Personales, establecida en el literal c del artículo 4 de la Resolución N° SPDP-SPD-2025-0001-R, se procede a emitir como en efecto se emite la presente absolución de consulta a nombre y en representación de la SPDP en el siguiente sentido:
El numeral 19 del artículo 66 Constitución de la República del Ecuador (“CRE”) reconoce el derecho a la protección de datos personales estableciendo lo siguiente:
“Art. 66.- Se reconoce y garantizará a las personas: (…) 19. El derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección. La recolección, archivo, procesamiento, distribución o difusión de estos datos o información requerirán la autorización del titular o el mandato de la ley (…)” (énfasis agregado).
Asimismo, el artículo 226 de la CRE establece:
“Art. 226.- Las instituciones del Estado, sus organismos, dependencias, las servidoras o servidores públicos y las personas que actúen en virtud de una potestad estatal ejercerán solamente las competencias y facultades que les sean atribuidas en la Constitución y la ley.” (énfasis agregado).
El artículo 4 de la LOPDP define lo siguiente:
“Términos y definiciones.- Para los efectos de la aplicación de la presente Ley se establecen las siguientes definiciones:
Autoridad de Protección de Datos Personales: Autoridad pública independiente encargada de supervisar la aplicación de la presente Ley, reglamento y resoluciones que ella dicte, con el fin de proteger los derechos y libertades fundamentales de las personas naturales, en cuanto al tratamiento de sus datos personales (…)
Delegado de protección de datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.” (énfasis agregado).
El artículo 48 de la LOPDP en su párrafo final dispone lo siguiente:
“Delegado de protección de datos personales.- Se designará un delegado de protección de datos personales en los siguientes casos:
1) Cuando el tratamiento se lleve a cabo por quienes conforman el sector público de acuerdo con lo establecido en el artículo 225 de la Constitución de la República;
2) Cuando las actividades del responsable o encargado del tratamiento de datos personales requieran un control permanente y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en esta Ley, el reglamento a ésta, o en la normativa que dicte al respecto la Autoridad de Protección de Datos Personales;
(…) La Autoridad de Protección de Datos Personales podrá definir nuevas condiciones en las que deba designarse un Delegado de Protección de Datos Personales y emitirá, a dicho efecto, las directrices suficientes para su designación” (énfasis agregado).
Adicionalmente, el artículo 49 de la LOPDP, se establece que:
“Funciones del delegado de protección de datos personales.- El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
1) Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
2) Supervisar el cumplimiento de las disposiciones contenidas en esta Ley, el reglamento, las directrices, lineamientos y demás regulaciones emitidas por la Autoridad de Protección de Datos Personales;
3) Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación;
4) Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales; y,
5) Las demás que llegase a establecer la Autoridad de Protección de Datos Personales con ocasión de las categorías especiales de datos personales” (énfasis agregado).
El numeral 5 del artículo 76 de la LOPDP señala que:
“Funciones atribuciones y facultades.- a Autoridad de Protección de Datos Personales es el órgano de control y vigilancia encargado de garantizar a todos los ciudadanos la protección de sus datos personales, y de realizar todas las acciones necesarias para que se respeten los principios, derechos, garantías y procedimientos previstos en la presente Ley y en su reglamento de aplicación, para lo cual le corresponde las siguientes funciones, atribuciones y facultades: (…)
5) Emitir normativa general o técnica, criterios y demás actos que sean necesarios para el ejercicio de sus competencias y la garantía del ejercicio del derecho a la protección de datos personales”. (énfasis agregado).
De acuerdo con el artículo 48 del RGLOPDP, se expone que:
“Art. 48.- Delegado de protección de datos – El delegado de protección de datos personales es la persona natural que se encarga principalmente de asesorar, velar y supervisar, de manera independiente, el cumplimiento de las obligaciones legales imputables al responsable y al encargado del tratamiento de datos personales
Podrá realizar otras actividades relacionadas con la protección de datos personales que le sean encomendadas por el responsable, siempre que no supongan o exijan del delegado una preparación diversa ni exista un conflicto con las responsabilidades previamente adquiridas.
El delegado de protección de datos personales desempeñará sus funciones de manera profesional, con total independencia del responsable y del encargado del tratamiento de datos personales, quienes estarán obligados a facilitar la asistencia, recursos y elementos que les sea oportunamente requeridos para garantizar el cumplimiento de los deberes, funciones y responsabilidades a cargo del delegado.
(…) Sin perjuicio de lo que disponga la Ley y este Reglamento, corresponderá a la Autoridad de Protección de Datos Personales emitir la normativa que garantice la independencia del delegado de protección de datos personales en el desempeño de sus funciones en relación con el responsable y encargado”. (énfasis agregado).
En concordancia con los previamente citados, el artículo 55 del RGLOPDP dispone lo siguiente:
“Art. 55.- Requisitos para ser delegado.- Sin perjuicio de otros requisitos que establezca la Autoridad de Protección de Datos Personales, para ser delegado de protección de datos personales, se requerirá:
1. Estar en goce de los derechos políticos;
2. Ser mayor de edad;
3. Tener título de tercer nivel en Derecho, Sistemas de Información, de Comunicación, o de Tecnologías; y,
4. Acreditar experiencia profesional de por lo menos cinco años.” (énfasis agregado).
El artículo 56 del RGLOPDP determina lo siguiente:
“Art. 56.- Impedimento para ser delegado.- Sin perjuicio de otras que defina la Autoridad de Protección de Datos Personales, no podrán ser delegados de protección de datos personales las siguientes personas:
1. Quienes formen parte de los órganos de administración y control del responsable y encargado;
2. Los socios o accionistas del responsable y encargado;
3. Los cónyuges de los administradores, directores o comisarios de la compañía, en caso de haberlos, del responsable y encargado, o sus parientes hasta el cuarto grado de consanguinidad o segundo de afinidad; y,
4. Quienes tengan conflictos de intereses con el responsable y encargado, para lo cual la Autoridad de Protección de Datos Personales emitirá la normativa correspondiente en la que se establecerán los supuestos específicos que darían lugar a dicho conflicto de intereses.
Tratándose de las instituciones del sector público, la Autoridad de Protección de Datos Personales definirá las incompatibilidades para ser delegado de protección de datos personales para cada caso en particular”. (énfasis agregado).
Asimismo, la Superintendencia de Protección de Datos Personales, mediante Resolución N° SPDP-SPD-2025-0028-R, publicada en el Registro Oficial N° 105 el 19 de agosto de 2025, expidió el Reglamento del Delegado de Protección de Datos Personales, cuyo artículo 12 estipula que:
“Art. 12.- Incluso si prestare sus servicios bajo relación de dependencia, el delegado deberá mantener total independencia e imparcialidad en el ejercicio de sus funciones. No obstante, los responsables o los encargados del tratamiento podrán contar con el servicio de delegados mediante la suscripción de contratos de prestación de servicios técnicos especializados, así como contratar servicios de soporte, asesoría, implementación y/o consultoría en materia de protección de datos personales con personas jurídicas de derecho privado domiciliadas en la República del Ecuador.”
El artículo 13 ibídem dispone:
“Art. 13.- Además de las funciones y atribuciones previstas en la LOPDP, el delegado deberá asesorar o supervisar al responsable, al personal del responsable o al encargado del tratamiento, en:
13.1. El análisis de riesgos, la evaluación de impacto (cuando proceda) y en la adopción de las medidas de seguridad aplicables en las transferencias de datos personales;
13.2. La atención de las solicitudes presentadas por los titulares para el ejercicio de los derechos establecidos en la LOPDP;
13.3. La gestión de vulneraciones a la seguridad, así como su notificación al titular de los datos, a la SPDP y a la Agencia de Control y Regulación de Telecomunicaciones, cuando corresponda;
13.4. El control de eficacia y eficiencia de las medidas de seguridad de carácter técnico, físico, administrativo, organizativo y jurídico que se hubieren implementado;
13.5. El cumplimiento de los registros de actividades de tratamiento, de acuerdo con los requisitos previstos en el RGLOPDP, sin perjuicio de los demás que llegare a establecer la SPDP; y,
13.6. El cumplimiento de la normativa en protección de datos personales en los tratamientos de protección de datos personales que se realizaren.
El delegado no tendrá responsabilidad por las decisiones finales ejecutadas por parte del responsable o el encargado del tratamiento, siempre que fuere capaz de demostrar que actuó de forma diligente en el cumplimiento de la normativa de protección de datos personales; en caso contrario, responderá administrativa, civil y penalmente, en los términos del último párrafo del artículo 49 de la LOPDP.”
El artículo 14 ibídem estipula:
Art. 14.- El delegado se limitará a supervisar al responsable, al personal del responsable o al encargado del tratamiento para que ejecuten, de manera correcta, el procedimiento de atención de las solicitudes para el ejercicio de derechos que fueren presentadas por los titulares respecto de sus datos personales, de conformidad con lo establecido en la normativa vigente.”
El artículo 15 ibídem expone:
Art. 15.- El delegado tiene prohibido cumplir las obligaciones o ejercer las funciones que corresponden exclusivamente al responsable, al personal del responsable o al encargado del tratamiento, ni aquellas que pudieren comprometer su independencia e imparcialidad. Por consiguiente, tiene impedimento para:
15.1. Implementar en la organización, de forma directa, la LOPDP, el RGLOPDP y demás normativa relacionada con la materia, puesto que dicha obligación corresponde al responsable, al personal del responsable o al encargado del tratamiento;
15.2. Ejecutar, de manera directa, la gestión de riesgos o las evaluaciones de impacto en materia de protección de datos, ya que aquellas son responsabilidades del responsable o del encargado del tratamiento, sin embargo de lo cual el delegado podrá emitir observaciones u orientaciones no vinculantes sobre dichas evaluaciones;
15.3. Tomar decisiones sobre la finalidad del tratamiento de datos personales, o en relación a los medios para realizarlo;
15.4. Representar a la organización ante la SPDP en calidad de responsable o de encargado del tratamiento, considerando que tales roles son inseparables de quienes legalmente los detentan y, por ende, que no pueden ser objeto de ningún tipo de delegación, ya fuere de carácter administrativo o de cualquier otra índole;
15.5. Ejercer, simultáneamente, funciones tales como la de oficial de seguridad de la información, oficial de cumplimiento, implementador u otros cargos que pudieren generarle conflictos de interés con su función supervisora y de asesoramiento independiente; y,
15.6. Desempeñar cualquier otra función que, por su naturaleza, pudiere originarle conflictos de interés o que fuere capaz de comprometer su independencia, autonomía, imparcialidad u objetividad como delegado.
En ningún caso el delegado podrá recibir instrucciones del responsable, del personal del responsable o del encargado respecto al ejercicio de sus funciones, ni sufrir represalias por su actuación técnica y autónoma.”
El artículo 16 ibídem establece que:
“Art. 16.- Además de los impedimentos establecidos en el RGLOPDP, no podrán ser nombrados o designados como delegados:
16.1. Las mismas personas que estuvieren designadas como oficiales de seguridad de la información dentro de la organización;
16.2. Las mismas personas que fueren oficiales de cumplimiento dentro de la organización;
16.3. Los apoderados especiales de responsables, conjuntos o no, y de encargados extranjeros que realizaren actividades de tratamiento de datos personales en la República del Ecuador; y,
16.4. Las personas que ejercieren cargos del nivel jerárquico superior en el sector público.”
El artículo 17 ibídem prescribe lo siguiente:
“Art. 17.- Todo aquel que fuere designado como delegado deberá, de manera previa a la aceptación del cargo, declarar o hacer manifiesta cualquier situación que pudiere suscitarle un conflicto de intereses real, potencial o aparente, en cuyo caso el responsable o el encargado del tratamiento deberá adoptar las correspondientes medidas correctivas, tales como la abstención de designarle, la reestructuración funcional o la revocatoria del nombramiento, según correspondiere.
Se seguirá el mismo procedimiento establecido en el párrafo precedente en los casos de conflicto de interés sobrevenido, esto es, si las causales que lo configuran aparecieren mientras el delegado se encuentra en ejercicio de su cargo.”
El artículo 18 ibídem indica lo siguiente:
“Art. 18.- Habrá conflicto de interés si el delegado designado o que estuviere ya en ejercicio del cargo:
18.1. Ejecutare una o varias actividades de tratamiento de datos personales, o si participare en el desarrollo de su ejecución de forma ocasional o permanente;
18.2. Ejerciere acciones de asesoría que, ajenas a sus funciones como delegado, tuvieren por objetivo salvaguardar los intereses de la organización; y,
18.3. Tomare decisiones sobre la organización, sus actividades o sus gestiones internas.”
Con base en los artículos previamente citados, para poder dar contestación a la pregunta realizada por el Consultante es necesario realizar un análisis respecto al rol del DPD como uno de los integrantes del sistema de protección de datos personales. Conforme al marco normativo aplicable, el DPD constituye una figura técnico-jurídica de carácter independiente, cuyas funciones se orientan a la asesoría especializada, la supervisión del cumplimiento normativo y la cooperación con la autoridad de control, sin participar en la ejecución operativa del tratamiento de datos personales.
Es así que, el artículo 49 de la LOPDP establece las funciones del DPD, las cuales se orientan a garantizar la correcta aplicación del régimen de protección de datos desde un enfoque preventivo, técnico y de control, sin asumir tareas operativas propias del responsable o del encargado del tratamiento. En este sentido, el DPD cumple un rol de asesoría especializada, dirigido a orientar al responsable, a su personal y al encargado del tratamiento en la aplicación de la Ley, su reglamento y la normativa emitida por la SPDP, ejerce funciones de supervisión sobre el cumplimiento efectivo de dichas disposiciones, participa en la identificación y gestión de riesgos, así como en la evaluación del impacto y de las medidas de seguridad del tratamiento, verificando su adecuada implementación; y actúa como enlace institucional con la Autoridad de Protección de Datos Personales, facilitando la cooperación y el flujo de información en lo relativo a las actividades de tratamiento. De acuerdo con este mismo artículo, estas atribuciones pueden ampliadas por la SPDP, como en efecto se ampliaron en la Resolución N° SPDP-SPD-2025-0028-R. El incumplimiento de sus funciones o su inobservancia genera responsabilidad administrativa, civil y penal, conforme al ordenamiento jurídico vigente y acorde al caso concreto.
Asimismo, el artículo 48 del RGLOPDP complementa las funciones del DPD al disponer que estas deben ejercerse con independencia funcional, contando con acceso a la información y a los recursos necesarios para su adecuado desempeño. Conforme al alcance del mencionado artículo, la independencia funcional del DPD no se limita a una declaración formal, sino que constituye un elemento estructural de su rol, destinado a garantizar que las labores de asesoría, vigilancia y supervisión del cumplimiento normativo se ejerzan sin injerencias del responsable o del encargado del tratamiento. En este sentido, la posibilidad de que el DPD realice otras actividades vinculadas con la protección de datos personales se encuentra condicionada a que dichas tareas no impliquen un conflicto de interés ni demanden competencias distintas a las propias de su función, preservando en todo momento su autonomía. Asimismo, la normativa impone al responsable y al encargado del tratamiento el deber positivo de facilitar al DPD los recursos, la información y el apoyo necesarios para el ejercicio efectivo de sus funciones, al tiempo que reconoce a la SPDP la competencia para dictar disposiciones adicionales que salvaguarden su independencia en la práctica, reforzando así su posición institucional dentro del sistema de protección de datos personales.
En este sentido, el núcleo funcional del DPD se articula principalmente en torno a la asesoría y supervisión de cumplimiento especializado. La función de asesorar comprende la emisión de criterios técnicos y jurídicos dirigidos a orientar al responsable y al encargado del tratamiento en la correcta aplicación de la normativa de protección de datos personales, atendiendo a la naturaleza del tratamiento, los datos involucrados, los riesgos asociados y las buenas prácticas disponibles. Por otro lado, la función de supervisión atribuida al DPD implica la verificación del cumplimiento de la LOPDP, su Reglamento y la normativa emitida por la SPDP, mediante la revisión de políticas, procedimientos y prácticas institucionales. Dicha supervisión se materializa en observaciones, recomendaciones o advertencias, sin que ello suponga la ejecución directa de medidas técnicas u organizativas, lo cual resultaría incompatible con la naturaleza independiente de su rol. Es así que, el DPD actúa como vigilante de la normativa de protección de datos personales, sin sustituir ni ser parte de las facultades decisorias que la normativa atribuye al responsable del tratamiento o las correspondientes al encargado del tratamiento.
Ahora bien, resulta fundamental analizar la independencia del DPD, la cual constituye un elemento esencial de su función. La normativa de protección de datos personales otorga especial relevancia a la prevención de los conflictos de interés, los cuales no se conciben como meras situaciones subjetivas o éticas, sino como circunstancias jurídicamente relevantes que pueden afectar la independencia funcional del DPD. Dichos conflictos se configuran cuando el DPD asume funciones o posiciones que comprometen, de manera real o potencial, su capacidad de asesorar y supervisar con objetividad e imparcialidad, particularmente cuando interviene en la ejecución del tratamiento de datos personales, en la adopción de decisiones internas o en la gestión operativa de actividades cuya conformidad con el marco normativo debe posteriormente supervisar.
En esta línea, los artículos 15, 16, 17 y 18 de la Resolución Nº SPDP-SPD-2025-0028-R refuerzan la exigencia de la independencia del DPD al establecer prohibiciones expresas destinadas a evitar conflicto de intereses. Es así como dichas limitaciones buscan preservar la objetividad, neutralidad y credibilidad del DPD en su actuar. Por ello, el DPD no puede asumir funciones que correspondan de manera exclusiva al responsable, a su personal o al encargado del tratamiento, ni desempeñar tareas que comprometan su independencia, objetividad e imparcialidad. En particular, la normativa delimita con claridad que el DPD no ejecuta ni implementa directamente las obligaciones derivadas de la LOPDP y su Reglamento General, ni gestiona de forma operativa los análisis de riesgos, las evaluaciones de impacto o la adopción de decisiones relativas a las finalidades y medios del tratamiento, las cuales son atribuciones propias del responsable o del encargado del tratamiento. Asimismo, el DPD no representa a la organización ante la SPDP en calidad de responsable ni encargado del tratamiento, ni puede ejercer cargos o funciones paralelas como oficial de seguridad de la información u oficial de cumplimiento, las cuales generan conflictos de interés. Estas restricciones buscan garantizar que su actuación se limite a la asesoría técnica y a la supervisión independiente, sin recibir instrucciones ni sufrir represalias por el ejercicio autónomo de sus funciones.
Complementariamente, la normativa establece causales de inelegibilidad para el ejercicio del cargo de DPD, impidiendo su designación cuando la persona ostente funciones que, por su naturaleza, resulten incompatibles con la independencia exigida, tales como oficiales de seguridad de la información, oficiales de cumplimiento, apoderados especiales de responsables o encargados extranjeros, o funciones del nivel jerárquico superior en el sector público. Adicionalmente, se impone al DPD un deber reforzado de transparencia, consistente en declarar de manera previa y durante el ejercicio del cargo cualquier situación que pueda configurar un conflicto de interés real, potencial o aparente. Frente a tales escenarios, se dispone que el responsable o encargado del tratamiento adopte medidas correctivas oportunas, que pueden incluir la abstención en su designación, la reestructuración funcional o la revocatoria del nombramiento, con el fin de preservar la independencia del DPD y la integridad del sistema de protección de datos personales.
De la articulación de estas atribuciones, prohibiciones e impedimentos se desprende una conclusión clara, el DPD se encuentra normativamente separado de la operación técnica del tratamiento de datos personales. Su intervención se circunscribe a supervisar, asesorar y cooperar, mientras que las funciones que implican manipulación directa de datos, determinación de finalidades o medios, administración de sistemas o control operativo de medidas de seguridad corresponden exclusivamente al responsable o al encargado del tratamiento.
Bajo este marco, la custodia de contraseñas de bases de datos o de sistemas que soportan el tratamiento de datos personales constituye una actividad de naturaleza eminentemente técnica y operativa, en tanto implica la posibilidad de controlar procesos, gestionar accesos y ejercer dominio funcional sobre infraestructuras tecnológicas. Este tipo de actividades supone un nivel de control directo sobre los procesos físicos y tecnológicos del tratamiento, lo cual excede el ámbito de actuación atribuido al DPD. Considerando que las facultades del DPD se circunscriben expresamente a la asesoría y a la supervisión del cumplimiento normativo, la atribución de funciones de gestión o control operativo, como la custodia de contraseñas o la administración de bases de datos, resulta incompatible con sus atribuciones legales y genera un conflicto con su rol institucional. En efecto, otorgar al DPD la capacidad de gestionar credenciales de acceso lo hace parte de la operación del tratamiento, afectando la necesaria separación funcional entre quien ejecuta las medidas de seguridad y quien debe supervisarlas.
En este contexto, ante la eventualidad de una brecha o vulneración de la seguridad de los datos personales, la atribución de responsabilidad al DPD se tornaría jurídicamente problemática si éste hubiese asumido funciones operativas que, por su naturaleza, no le corresponden. En principio, el DPD debe responder conforme al marco normativo únicamente por el ejercicio diligente de sus funciones de asesoría y supervisión, mas no por la ejecución, control o administración directa de los sistemas o mecanismos de seguridad. Por lo que habría un claro posible conflicto de interés, ya que el DPD no puede ser responsable frente a los titulares ni la autoridad por no haber implementado las medidas de seguridad necesarias para resguardar adecuadamente las contraseñas de las bases de datos del responsable del tratamiento.
La custodia de contraseñas se encuentra directamente vinculada al control de accesos y a la administración de medidas de seguridad, responsabilidades que corresponden de forma exclusiva al responsable o al encargado del tratamiento. La asunción de dichas funciones por parte del DPD le otorgaría control operativo sobre la infraestructura cuya adecuación debe evaluar, configurando una falta de separación funcional incompatible con su rol. En consecuencia, no resulta conforme con el marco normativo vigente que el DPD asuma la custodia de contraseñas institucionales, debiendo esta función recaer en las áreas técnicas o administrativas designadas por el responsable o el encargado, mientras que el DPD debe limitar su actuación a verificar que los mecanismos de control de acceso sean adecuados y conformes con la LOPDP, su Reglamento y la normativa emitida por la SPDP.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio NRO. SERCOP-CGAJ-2025-0230-OF de 7 de noviembre de 2025 y debidamente subsanada el 21 de noviembre de 2025, del análisis realizado y dando respuesta a la consulta planteada por el Consultante se determina lo siguiente:
“Sobre la base del artículo 14 de la Resolución N°SPDP-SPD-2025-0028-R, que señala, “el delegado se limitara a supervisar al responsable, al personal del responsable o al encargado del tratamiento para que ejecuten de manera correcta, el procedimiento de atención de las solicitudes para el ejercicio de derechos que fueren presentados por los titulares respecto de sus datos personales, de conformidad con lo establecido en la normativa vigente” ¿El Delegado de Protección de Datos Personales, puede ser custodio de las contraseñas de las bases de Datos de la Institución?”
En atención al marco normativo aplicable y a la delimitación funcional del DPD prevista en la LOPDP, su Reglamento General y la Resolución Nº SPDP-SPD-2025-0028-R, se concluye que las atribuciones del DPD se circunscriben a la asesoría especializada y a la supervisión independiente del cumplimiento normativo, sin involucrarse en actividades operativas o ejecutivas propias del responsable o del encargado del tratamiento.
En este sentido, el hecho de que un DPD sea custodio de contraseñas resulta contrario a la naturaleza de sus funciones, en particular porque su independencia se vería comprometida. El resguardo de contraseñas implica asumir un nivel directo de responsabilidad operativa y, en caso de producirse una vulneración de seguridad, el DPD estaría desempeñando el rol de responsable del tratamiento, lo que le impediría pronunciarse objetivamente sobre la falta de implementación de medidas de seguridad que dicho resguardo exige.
En consecuencia, toda función que suponga una intervención directa en la implementación, administración o control operativo de las medidas de seguridad debe ser evaluada con especial cautela, a fin de evitar la afectación de la independencia o la generación de conflictos de interés. Por ello, las funciones del DPD deben limitarse estrictamente a la asesoría y supervisión, sin asumir responsabilidades propias del responsable o del encargado del tratamiento.
Este pronunciamiento debe ser entendido en su integridad y su aplicación es de exclusiva responsabilidad de la Consultante. Esta respuesta no tiene carácter vinculante ni genera efectos jurídicos generales, pues constituye únicamente una opinión técnica sobre la normativa aplicable en materia de protección de datos personales.
Su contenido no puede, en ningún caso, ser invocado para limitar, condicionar o impedir el ejercicio de las facultades de supervisión, control y sanción que corresponden a la Superintendencia de Protección de Datos Personales.